Acuerdo de Procesamiento de Datos (DPA)
Fecha de entrada en vigor: 26 de agosto de 2026
Última actualización: 26 de agosto de 2026
1. Propósito de este Acuerdo
El presente Acuerdo de Procesamiento de Datos, denominado el “APD”, rige el tratamiento de datos personales por parte de 3D CGI Studio S.L. en nombre de un cliente en relación con el desarrollo de software, SaaS, desarrollo de sitios web, alojamiento, mantenimiento, soporte u otros servicios contratados.
Este DPA se aplica cuando:
El cliente determina los fines y los medios del tratamiento de datos personales;
3D CGI Studio S.L. procesa dichos datos personales por cuenta del cliente;
El Reglamento General de Protección de Datos u otra ley de protección de datos aplicable exige un acuerdo entre responsable y encargado del tratamiento.
Este DPA forma parte de la cotización, declaración de trabajo, acuerdo de servicio, confirmación de pedido u otro acuerdo aplicable entre las partes, denominado el “Acuerdo de Servicio”.”
2. Partes
2.1 Controlador
El “Responsable” es el cliente identificado en el Acuerdo de Servicios aplicable.
El Responsable del tratamiento determina los fines y los medios del tratamiento de los datos personales cubiertos por este APD.
2.2 Procesador
El “Procesador” es:
3D CGI Studio S.L.
Ctra. de Churra 55
30007 Murcia
España
NIF/IVA: B25996109
Correo electrónico: en**@*********io.com
Teléfono +34 622 578 968
El Encargado procesa datos personales en nombre del Responsable solo según sea necesario para prestar los servicios contratados.
3. Definiciones
A los efectos del presente DPA:
Ley de Protección de Datos Aplicable significa el Reglamento General de Protección de Datos, la Ley Orgánica española 3/2018 de Protección de Datos Personales y garantía de los derechos digitales, y cualquier otra ley de protección de datos aplicable al tratamiento.
Controlador significa la parte que determina los fines y medios del tratamiento de datos personales.
Procesador significa la parte que procesa datos personales en nombre del Responsable del tratamiento.
Interesado significa una persona física identificada o identificable cuyos datos personales son objeto de tratamiento.
Datos Personales significa información relativa a una persona física identificada o identificable.
Procesando incluye la recopilación, el acceso, el registro, la organización, el almacenamiento, la modificación, la recuperación, la consulta, el uso, la transmisión, la restricción, la supresión o cualquier otra forma de tratamiento de datos personales.
Violación de datos personales significa una violación de la seguridad que ocasiona la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.
Subprocesador significa otro procesador contratado por el Encargado del Tratamiento para procesar datos personales en nombre del Responsable del Tratamiento.
Datos de Categoría Especial significa datos personales cubiertos por el Artículo 9 del RGPD, incluida determinada información sobre salud, biométrica, genética, política, religiosa, sindical o relativa a la vida sexual.
Servicios significa los servicios descritos en el Acuerdo de Servicios aplicable.
Los términos no definidos en este APD tienen el significado que se les atribuye en la ley de protección de datos aplicable.
4. Alcance y Duración
El objeto, la duración, la naturaleza y la finalidad del tratamiento, junto con las categorías de datos personales y los interesados, se describen en:
El Acuerdo de Servicio;
Anexo 1 del presente DPA;
Las instrucciones documentadas del Responsable.
El presente APD permanecerá en vigor mientras el Encargado del tratamiento procese datos personales por cuenta del Responsable del tratamiento.
El procesamiento terminará cuando:
Los Servicios relacionados con datos personales han finalizado;
El Acuerdo de Servicio ha sido rescindido;
Todos los datos personales han sido devueltos o eliminados según lo requerido por este DPA;
La ley aplicable exige la conservación continua.
5. Obligaciones del responsable del tratamiento
El Responsable confirma que:
Tiene una base jurídica válida para el tratamiento;
Los datos personales han sido recopilados y divulgados legalmente;
Los interesados han recibido toda la información de privacidad requerida;
Sus instrucciones cumplen con la ley de protección de datos aplicable;
El tratamiento es necesario y proporcionado;
No instruirá al Encargado del tratamiento para que trate datos personales de forma ilícita;
No proporcionará datos personales innecesarios;
Identificará cualquier requisito especial de seguridad o normativo antes de que comience el procesamiento;
Responderá a las preguntas relativas a la legalidad de sus instrucciones;
Sigue siendo responsable de las decisiones relativas a los fines y los medios del tratamiento.
El responsable del tratamiento es responsable de la exactitud, la calidad y la licitud de los datos personales, así como de determinar si los Servicios son adecuados para el tratamiento previsto.
6. Instrucciones de procesamiento
El Encargado tratará datos personales únicamente:
Siguiendo las instrucciones documentadas del responsable del tratamiento;
En la medida en que sea necesario para cumplir el contrato de prestación de servicios;
Tal y como se describe en el presente DPA;
Según lo establecido en la legislación aplicable.
El contrato de prestación de servicios, el presente acuerdo de tratamiento de datos (DPA), las instrucciones escritas del proyecto, las solicitudes de asistencia y las opciones de configuración elegidas por el responsable del tratamiento constituyen instrucciones documentadas.
Si el encargado del tratamiento considera que una instrucción incumple la legislación aplicable en materia de protección de datos, informará de ello al responsable del tratamiento sin demora injustificada y podrá suspender el tratamiento afectado hasta que la instrucción se aclare, se modifique o se retire.
Si el encargado del tratamiento está obligado legalmente a tratar datos personales más allá de las instrucciones del responsable del tratamiento, el encargado del tratamiento informará al responsable del tratamiento antes de proceder al tratamiento, salvo que la legislación aplicable prohíba dicha notificación.
El encargado del tratamiento no:
Vender datos personales;
Utilizar datos personales con fines de marketing no relacionados;
Determinar nuevos fines independientes para los datos de los clientes;
No divulgar datos personales, salvo en los casos autorizados por el presente Acuerdo de Protección de Datos, por el responsable del tratamiento o por la legislación aplicable.
7. Confidencialidad
El encargado del tratamiento se asegurará de que las personas autorizadas para tratar datos personales:
Están sujetos a las obligaciones de confidencialidad pertinentes;
Tener acceso únicamente a lo que sea necesario para el desempeño de su trabajo;
Están al corriente de las responsabilidades pertinentes en materia de protección de datos y seguridad;
Trate los datos personales únicamente de acuerdo con las instrucciones autorizadas.
Las obligaciones de confidencialidad persisten una vez finalizado el acceso o finalizada la relación laboral de la persona en cuestión.
8. Medidas de seguridad
Teniendo en cuenta el estado actual de la técnica, los costes de implementación, la naturaleza y el alcance del tratamiento, así como los riesgos para los interesados, el encargado del tratamiento aplicará las medidas técnicas y organizativas adecuadas destinadas a proteger los datos personales.
Las medidas aplicables se describen en el anexo 2 y pueden incluir:
Controles de acceso;
Permisos basados en roles;
Controles de contraseñas y autenticación;
Cifrado en tránsito;
Cifrado en reposo, cuando proceda;
Prácticas seguras de desarrollo de software;
Actualizaciones del sistema y del software;
Protección contra malware y amenazas;
Procesos de copia de seguridad y recuperación;
Registro y seguimiento;
Obligaciones de confidencialidad;
Procedimientos de gestión de incidentes;
Restricciones en el acceso a los datos de producción;
Borrado seguro;
Controles de proveedores y subencargados.
El Responsable reconoce que las medidas de seguridad pueden evolucionar con el tiempo. El Encargado podrá actualizar las medidas siempre que el nivel general de protección no se reduzca sustancialmente.
9. Acceso a los Datos Personales
El Procesador limitará el acceso a los datos personales a aquellas personas que razonablemente necesiten dicho acceso para prestar los Servicios.
Donde sea práctico, el desarrollo y las pruebas deben utilizar:
Datos anonimizados;
Datos seudonimizados;
Datos de prueba sintéticos;
Conjuntos de datos limitados.
El Responsable no debe proporcionar datos de producción en vivo cuando los datos de prueba representativos sean suficientes.
Las credenciales deben transferirse a través de un canal seguro acordado. Cada parte es responsable de proteger las credenciales bajo su control.
10. Categoría especial y datos altamente sensibles
El Responsable no debe proporcionar Datos de Categorías Especiales, datos de condenas penales, datos de tarjetas de pago, documentos de identificación gubernamental o información igualmente sensible a menos que:
El procesamiento se describe expresamente en el Contrato de Servicio o en el Anexo 1;
El Encargado ha aprobado el tratamiento por escrito;
Se han establecido las bases jurídicas y las garantías adecuadas;
Cualquier requisito de seguridad adicional ha sido acordado.
Si el Procesador recibe dicha información de manera imprevista, podrá aislar, devolver o eliminar de forma segura la información y solicitar más instrucciones.
11. Subencargados
El Responsable concede al Encargado autorización general por escrito para contratar Subencargados cuando sea razonablemente necesario para la prestación de los Servicios.
El procesador:
Utilizar Subencargados que ofrezcan garantías suficientes de protección de datos y seguridad;
Celebrar un acuerdo por escrito que imponga obligaciones de protección de datos materialmente equivalentes;
Limite el acceso del Subencargado al estrictamente necesario;
Permanecer responsable del cumplimiento por parte del Subencargado de sus obligaciones de protección de datos según lo requerido por la legislación aplicable;
Mantener una lista actualizada de Sub encargados del tratamiento pertinentes;
Informe al Controlador sobre las adiciones o sustituciones previstas cuando sea necesario.
Los subencargados relevantes pueden incluir proveedores de:
Alojamiento e infraestructura en la nube;
Almacenamiento de datos y copias de seguridad;
Correo electrónico y comunicaciones;
Gestión de proyectos y colaboración;
Transferencia de archivos;
Monitoreo y seguridad;
Soporte técnico;
Desarrollo de software;
Servicios de entrega de contenido.
Los Subencargados iniciales se identifican en el Anexo 3, en el Contrato de Servicios o en una Lista de Subencargados separada proporcionada al Responsable del Tratamiento.
El Encargado proporcionará un aviso previo razonable sobre un nuevo Subencargado cuando el cambio afecte materialmente al tratamiento.
El Responsable del tratamiento podrá oponerse por motivos razonables de protección de datos. Las partes trabajarán de buena fe para resolver la oposición. Si no se dispone de ninguna alternativa razonable, cualquiera de las partes podrá rescindir la parte afectada de los Servicios de conformidad con el Contrato de Servicios.
12. Transferencias internacionales
El Procesador no transferirá datos personales fuera del Espacio Económico Europeo, ni permitirá el acceso desde fuera del Espacio Económico Europeo, a menos que exista un mecanismo de transferencia legal aplicable.
Tales mecanismos pueden incluir:
Una decisión de adecuación adoptada por la Comisión Europea;
El Marco de Privacidad de Datos UE-EE. UU. en el que el destinatario cuenta con una certificación válida;
Cláusulas contractuales tipo aprobadas por la Comisión Europea;
Normas corporativas vinculantes;
Otra salvaguardia o excepción permitida por la ley.
Cuando las Cláusulas Contractuales Tipo sean obligatorias, las partes acuerdan incorporar los módulos aplicables a este DPA.
Donde 3D CGI Studio S.L. actúe como encargado del tratamiento y un destinatario fuera del EEE actúe como subencargado, se seleccionará el módulo de responsable a encargado o de encargado a encargado según corresponda.
El Procesador implementará salvaguardias suplementarias cuando sea razonablemente necesario tras una evaluación de la transferencia.
El Responsable autoriza las transferencias descritas en el Acuerdo de Servicio aplicable, el Anexo 3 o la Lista de Subencargados, con sujeción a las salvaguardias legales requeridas.
13. Solicitudes de los interesados
Si el Encargado del Tratamiento recibe una solicitud de un Interesado relativa a datos personales tratados por cuenta del Responsable del Tratamiento, el Encargado del Tratamiento:
Notificar al Responsable del tratamiento sin demora indebida;
No responder de forma sustancial a menos que esté autorizado por el Responsable o lo requiera la ley;
Proporcione asistencia razonable cuando sea técnica y operativamente posible.
Las solicitudes pueden incluir acceso, rectificación, supresión, limitación, portabilidad u oposición.
El Responsable del tratamiento sigue siendo responsable de:
Verificando la identidad del interesado;
Determinar si la solicitud es válida;
Respondiendo dentro del plazo legal aplicable;
Proporcionando la respuesta legal.
Cuando la asistencia requiera un trabajo sustancial que vaya más allá de los Servicios normales, se podrán aplicar tarifas razonables si la ley lo permite y se acuerda con el Responsable del tratamiento.
14. Violaciones de datos personales
El Encargado notificará al Responsable sin demora indebida tras tener conocimiento de una Violación de Datos Personales confirmada que afecte a los datos personales tratados en virtud de este APD.
Donde se dispone de información, la notificación incluirá:
Una descripción de la naturaleza de la brecha;
Las categorías de datos personales afectados;
Las categorías y el número aproximado de Interesados afectados;
Las consecuencias probables;
Medidas adoptadas o propuestas;
Información de contacto para el seguimiento;
Información razonablemente necesaria para la evaluación del Responsable del Tratamiento.
La información puede proporcionarse en fases cuando los detalles completos no estén disponibles de inmediato.
El Encargado tomará las medidas razonables para:
Contener la brecha;
Investiga su causa;
Mitigar el daño razonablemente previsible;
Prevenir una recurrencia;
Conserve las pruebas pertinentes.
El Responsable del Tratamiento es responsable de determinar si es necesaria la notificación a una autoridad de control o a los interesados afectados.
Una notificación de violación de la seguridad por parte del Encargado no constituye un reconocimiento de culpa o responsabilidad.
15. Evaluaciones de impacto relativo a la protección de datos
El Encargado prestará asistencia razonable cuando el Responsable deba realizar:
Una evaluación de impacto de protección de datos;
Una evaluación de riesgos;
Consulta previa a una autoridad de control.
La asistencia se limitará a la información de que disponga el Encargado relativa a los Servicios y a sus actividades de tratamiento.
La asistencia sustancial fuera de los Servicios acordados podrá estar sujeta a tarifas adicionales razonables.
16. Registros y cooperación reglamentaria
El Procesador mantendrá los registros requeridos por la ley aplicable en relación con el tratamiento realizado en nombre de los responsables.
El Encargado cooperará razonablemente con el Responsable y las autoridades de control competentes en relación con el tratamiento cubierto por el presente APD.
Cada parte es responsable de sus propias obligaciones reglamentarias.
17. Información de Auditoría y Cumplimiento
El Encargado pondrá a disposición la información razonablemente necesaria para demostrar el cumplimiento del artículo 28 del RGPD.
El Responsable podrá solicitar una auditoría razonable cuando:
Requerido por una autoridad competente;
Un incidente de seguridad material ha afectado a los datos personales del Responsable del Tratamiento;
Existe evidencia razonable que indica un incumplimiento material;
La ley aplicable exige una auditoría.
Antes de solicitar una auditoría in situ, el Contralor debe revisar primero la documentación disponible, las certificaciones, los cuestionarios y las evidencias remotas.
Las auditorías deben:
Llevarse a cabo durante el horario comercial normal;
Se concertarán con un preaviso razonable;
Evite interrupciones injustificadas;
Protege la información de otros clientes;
Ser realizadas por personas cualificadas sujetas a confidencialidad;
Limítese a los sistemas e información relevantes para el Responsable.
El Responsable asume los costes de su auditoría. Si una auditoría revela un incumplimiento material por parte del Encargado, este asumirá los costes razonables de corrección atribuibles a dicho incumplimiento.
18. Devolución y supresión de datos personales
Al finalizar los Servicios que involucren datos personales, el Encargado del Tratamiento, a elección del Responsable del Tratamiento y sujeto a la viabilidad técnica:
Devuelve los datos personales relevantes;
Hacer que los datos estén disponibles para la exportación;
Elimina los datos personales de forma segura.
El Procesador podrá conservar datos personales cuando lo exija la ley aplicable. La información conservada permanecerá protegida y no será procesada para ningún otro fin.
Los datos personales pueden permanecer temporalmente en los sistemas de respaldo rutinarios hasta que se sobrescriban de acuerdo con el ciclo de retención de respaldos del Encargado. Durante ese período, los datos permanecerán protegidos y aislados del uso comercial ordinario.
El Responsable del Tratamiento debe solicitar cualquier exportación requerida antes de que finalice el Acuerdo de Servicio o dentro del período acordado posterior a la terminación.
19. Notificación y contacto
Las comunicaciones sobre protección de datos relativas a este DPA deben enviarse a:
3D CGI Studio S.L.
Ctra. de Churra 55
30007 Murcia
España
Correo electrónico: en**@*********io.com
Teléfono +34 622 578 968
El contacto de protección de datos del Responsable será el contacto identificado en el Acuerdo de Servicios o el Anexo 1.
Cada parte debe notificar a la otra parte si cambian sus datos de contacto pertinentes.
20. Responsabilidad
La responsabilidad que surja en virtud de este APD está sujeta a las limitaciones y exclusiones del Acuerdo de Servicio, excepto cuando dichas limitaciones estén prohibidas por la Ley de Protección de Datos Aplicable.
Nada en este DPA limita:
Derechos estatutarios de los interesados;
Las facultades de una autoridad de control;
Responsabilidad que no puede limitarse legalmente;
La responsabilidad de cualquiera de las partes por su propia infracción de la Ley Aplicable de Protección de Datos.
Cada parte es responsable de los daños causados por su tratamiento en la medida especificada por la ley aplicable.
21. Prioridad y Conflicto
Si hay un conflicto relacionado con el procesamiento de datos personales, se aplica el siguiente orden de prelación:
Ley de Protección de Datos Aplicable y Obligatoria;
Cláusulas Contractuales Tipo Aplicables;
Este DPA;
El Acuerdo de Servicio;
Otros documentos del proyecto.
A excepción de las disposiciones de protección de datos abordadas por este DPA, el Acuerdo de Servicio permanece inalterado.
22. Ley aplicable y jurisdicción
A menos que el Acuerdo de Servicio disponga lo contrario, este DPA se rige por la legislación española.
Para los acuerdos entre empresas, los tribunales de Murcia, España, tienen jurisdicción, sin perjuicio de los requisitos de jurisdicción obligatorios establecidos en la ley de protección de datos aplicable o en las cláusulas contractuales tipo aplicables.
23. Enmiendas
El Procesador podrá actualizar este DPA estándar cuando sea razonablemente necesario para:
Cumplir con los cambios en la legislación aplicable;
Adoptar nuevas cláusulas reglamentarias;
Reflejar los cambios en los Servicios;
Mejorar las disposiciones de protección de datos.
Una actualización no reducirá sustancialmente la protección de los datos personales.
Los cambios materiales que afecten a un Acuerdo de Servicio activo se comunicarán al Responsable. Los cambios específicos del proyecto requerirán un acuerdo por escrito cuando sea legalmente necesario.
24. Aceptación
Este DPA será vinculante cuando:
Está firmado por ambas partes;
El Acuerdo de Servicio lo incorpora expresamente;
El Responsable acepta una cotización o pedido que hace referencia al mismo;
Las partes acuerdan lo contrario por vía electrónica o por escrito.
Se permiten la aceptación electrónica y las firmas electrónicas.
Anexo 1: Detalles del tratamiento
Este Anexo debe completarse en el Acuerdo de Servicio, la declaración de trabajo o la documentación del proyecto.
1. Controlador
Nombre legal: Se especificará en el contrato de prestación de servicios
Domicilio social: Se especificará en el contrato de prestación de servicios
Persona de contacto: Se especificará en el contrato de prestación de servicios
Contacto de protección de datos: Se especificará en el contrato de prestación de servicios
2. Procesador
3D CGI Studio S.L.
Ctra. de Churra 55
30007 Murcia
España
Correo electrónico: en**@*********io.com
3. Tema
El tratamiento de datos personales necesario para prestar los servicios de desarrollo de software, SaaS, desarrollo de sitios web, alojamiento, mantenimiento, soporte, migración, integración u otros servicios descritos en el Acuerdo de Servicios.
4. Duración
Durante la vigencia del contrato de servicio y cualquier periodo acordado de transición, asistencia, copia de seguridad o eliminación.
5. Naturaleza y finalidad del tratamiento
En función de los Servicios, el tratamiento puede incluir:
Acceder a los sistemas de los clientes;
Recopilación e importación de datos;
Alojamiento y almacenamiento de datos;
Organizar y estructurar datos;
Desarrollo y pruebas de software;
Migración de datos;
Resolución de problemas y asistencia técnica;
Mantenimiento de bases de datos;
Creación de copias de seguridad;
Transmitiendo datos;
Limitar, exportar o eliminar datos.
Solo se autoriza el tratamiento de datos necesario para el proyecto concreto.
6. Categorías de interesados
En función del proyecto, los interesados pueden ser:
Empleados de la Intervención;
Contratistas;
Clientes y clientes potenciales;
Miembros;
Usuarios;
Proveedores;
Contactos comerciales;
Visitantes del sitio web;
Usuarios del portal;
Otras personas cuyos datos se introducen en el sistema correspondiente.
Las categorías aplicables deben confirmarse en la documentación del proyecto.
7. Categorías de datos personales
Dependiendo del proyecto, los datos personales pueden incluir:
Nombres;
Datos de contacto comercial;
Direcciones de correo electrónico;
Números de teléfono;
Direcciones postales;
Identificadores de cuenta y de usuario;
Información organizativa;
Cargos y roles de trabajo;
Registros de autenticación y acceso;
Comunicaciones;
Documentos subidos;
Información de soporte;
Registros de transacciones y proyectos;
Registros técnicos;
Direcciones IP e información del dispositivo;
Otros datos expresamente identificados en la documentación del proyecto.
8. Datos de categorías especiales
Los datos de categorías especiales no están autorizados a menos que se identifiquen expresamente y se aprueben en el Acuerdo de Servicio o en una instrucción escrita adicional.
9. Frecuencia de procesamiento
El procesamiento puede realizarse de forma continua, periódica o bajo demanda durante la vigencia de los Servicios, según el proyecto.
10. Retención y eliminación
Los datos personales se conservarán durante la vigencia de los Servicios y se eliminarán o devolverán tras su terminación, sin perjuicio de:
Las instrucciones del Contralor;
Ciclos de respaldo acordados;
Limitaciones técnicas;
Requisitos legales obligatorios de retención;
Las disposiciones específicas de retención en el Acuerdo de Servicio.
Anexo 2: Medidas técnicas y organizativas
Las medidas aplicadas a un proyecto específico reflejarán la naturaleza de los Servicios y los riesgos asociados con el tratamiento.
1. Control de Acceso
Las medidas pueden incluir:
Cuentas de usuario individuales;
Control de acceso basado en roles;
Permisos de privilegio mínimo;
Requisitos de contraseña segura;
Autenticación multifactor cuando sea compatible y apropiado;
Revisiones de acceso regulares;
Eliminación inmediata de accesos innecesarios;
Restricciones sobre los privilegios administrativos.
2. Confidencialidad
Las medidas pueden incluir:
Obligaciones contractuales de confidencialidad;
Cláusulas de confidencialidad para el personal y los contratistas;
Acceso limitado a personas autorizadas;
Concienciación sobre seguridad y protección de datos;
Restricciones para descargar o copiar datos de producción.
3. Cifrado y transmisión
Las medidas pueden incluir:
Cifrado HTTPS/TLS para los datos transmitidos a través de redes públicas;
Conexiones administrativas cifradas;
Cifrado en reposo cuando sea apropiado y compatible;
Procedimientos seguros de transferencia de credenciales;
Evitación de la transmisión de datos sensibles sin cifrar.
4. Seguridad del Sistema
Las medidas pueden incluir:
Configuración segura;
Versiones de software compatibles;
Actualizaciones y parches de seguridad;
Protección contra malware;
Cortafuegos y controles de seguridad del proveedor de alojamiento;
Corrección de vulnerabilidades;
Separación de los entornos de desarrollo y producción cuando proceda.
5. Desarrollo seguro
Las medidas pueden incluir:
Restricciones de acceso al código fuente;
Control de versiones;
Revisión de código cuando corresponda;
Validación de entradas;
Controles de autenticación y autorización;
Gestión de dependencias;
Pruebas antes del despliegue en producción;
Evitación de datos personales reales en el desarrollo siempre que sea posible;
Registro sin datos personales innecesarios.
6. Disponibilidad y recuperación
Las medidas pueden incluir:
Copias de seguridad adecuadas;
Restricciones de acceso a las copias de seguridad;
Procedimientos de recuperación;
Redundancia de alojamiento donde esté incluida en los Servicios;
Procedimientos de respuesta a incidentes;
Monitoreo de sistemas críticos en caso de estar incluido.
No existe ninguna obligación de copia de seguridad, alojamiento o supervisión a menos que se incluya en el Acuerdo de Servicio.
7. Registro y Monitoreo
Las medidas pueden incluir:
Registro de acceso administrativo;
Registros de aplicaciones y seguridad;
Monitoreo de errores;
Revisión de actividad sospechosa;
Límites de retención de registros apropiados;
Protección de registros contra alteraciones no autorizadas.
8. Minimización de datos
Las medidas pueden incluir:
Procesando únicamente los datos necesarios;
Limitación de campos e importaciones;
Utilizando datos de prueba o sintéticos;
Seudonimización cuando proceda;
Evitar copias innecesarias;
Limitación de los periodos de retención.
9. Gestión de incidentes
Las medidas pueden incluir:
Informes de incidentes internos;
Procedimientos de investigación;
Contención y remediación;
Escalación de notificaciones;
Conservación de pruebas relevantes;
Acción correctiva posterior al incidente.
10. Eliminación y disposición
Las medidas pueden incluir:
Eliminación segura de la cuenta;
Eliminación o anonimización de bases de datos;
Eliminación controlada de archivos del proyecto;
Vencimiento de las copias de seguridad mediante los ciclos de retención normales;
Eliminación segura de soportes de almacenamiento cuando corresponda.
11. Gestión de subprocessors
Las medidas pueden incluir:
Evaluación de proveedores;
Términos contractuales de protección de datos;
Restricciones de acceso;
Revisión de la información de seguridad;
Salvaguardas para transferencias internacionales;
Supervisión de los cambios en el servicio de materiales.
12. Revisión de medidas
Las medidas técnicas y organizativas podrán ser revisadas y actualizadas de acuerdo con:
Cambios en el riesgo;
Cambios en la tecnología;
Cambios en los Servicios;
Incidentes de seguridad;
Evolución legal o regulatoria.
Anexo 3: Subencargados del tratamiento aprobados
El Procesador identificará los Subprocesadores relevantes para cada proyecto en:
El Acuerdo de Servicio;
La declaración de trabajo aplicable;
Una lista de subencargadores adjunta;
Una lista de subencargados actualizada y disponible en línea a la que hace referencia el Acuerdo de Servicio.
La lista debe contener:
Nombre del subprocesador;
Servicio prestado;
Procesando ubicación;
Categorías de datos personales;
Mecanismo de transferencia cuando corresponda.
Solo los Sub encargados del tratamiento relevantes para los Servicios aplicables están autorizados.
English 
Español 
Deutsch